UU PDP sudah berlaku penuh, tapi lembaga pengawasnya belum ada: paradoks perlindungan data pribadi Indonesia

Di tengah gencarnya pembangunan pusat data raksasa, ekspansi kendaraan listrik, dan lonjakan pembayaran digital di Indonesia, ada satu isu fundamental yang justru sering luput dari sorotan, yakni perlindungan data pribadi warga negara. Padahal, di sinilah letak salah satu paradoks paling menarik dalam lanskap teknologi Tanah Air saat ini.

Indonesia sebenarnya sudah memiliki payung hukum yang kuat. Undang-Undang Perlindungan Data Pribadi atau UU PDP telah disahkan pada 17 Oktober 2022, dan masa transisinya berakhir sehingga undang-undang ini mulai berlaku penuh sejak 17 Oktober 2024. Secara hukum, seluruh kewajiban di dalamnya kini mengikat dan dapat ditegakkan.

Undang-undang ada, pengawasnya belum

Namun di sinilah persoalannya muncul. Meskipun undang-undang sudah berlaku penuh, lembaga pengawas yang secara khusus diamanatkan oleh undang-undang tersebut, yaitu Lembaga PDP, hingga kini ternyata belum juga terbentuk. Akibatnya, terjadi kesenjangan antara aturan yang sudah berlaku dan institusi yang seharusnya mengawalnya.

Kondisi ini menciptakan situasi yang tidak ideal bagi penegakan hukum. Sebuah undang-undang yang bertaji membutuhkan otoritas independen yang kuat untuk mengawasi kepatuhan, menerima aduan, dan menjatuhkan sanksi. Tanpa lembaga khusus itu, efektivitas perlindungan data pribadi di lapangan berisiko menjadi tidak maksimal dan menimbulkan ketidakpastian.

Proses pembentukan Lembaga PDP sendiri masih berjalan berlarut-larut. Rancangan Peraturan Presiden yang mengatur lembaga ini disebut masih dalam tahap harmonisasi di Kementerian Hukum, dengan target agar lembaga tersebut dapat beroperasi pada tahun 2026 ini. Namun tenggat itu masih menyisakan banyak tanda tanya.

Komdigi sebagai penjaga sementara

Untuk mengisi kekosongan tersebut, kewenangan pengawasan tidak dibiarkan menganggur. Per Mei 2026, tugas penegakan berada di tangan Direktorat Jenderal Pengawasan Ruang Digital di bawah Komdigi, yang mengambil peran sebagai penjaga sementara sembari menunggu lembaga permanen benar-benar terbentuk dan beroperasi penuh.

Peran direktorat ini pun tidak main-main. Ia memiliki kewenangan untuk memantau kepatuhan para pengendali data, menerima pengaduan dari subjek data atau warga yang datanya diproses, berkoordinasi dengan aparat penegak hukum untuk perkara pidana, serta menjatuhkan sanksi administratif kepada pihak yang melanggar aturan.

Meski demikian, banyak pihak menilai penempatan fungsi pengawasan di bawah kementerian bersifat sementara dan tidak sekuat sebuah lembaga independen. Independensi dianggap penting agar pengawas dapat bertindak tegas bahkan terhadap instansi pemerintah maupun korporasi besar tanpa konflik kepentingan yang bisa melemahkan penegakan.

Sanksi yang mengintai perusahaan

Bagi dunia usaha, UU PDP bukan sekadar imbauan moral, melainkan kewajiban dengan konsekuensi nyata. Pasal 57 undang-undang ini menetapkan sejumlah sanksi bagi pelanggaran administratif, mulai dari peringatan tertulis, penghentian sementara kegiatan pemrosesan data pribadi, hingga penghapusan data pribadi yang bermasalah.

Yang paling menggigit bagi korporasi adalah sanksi finansialnya. Undang-undang memungkinkan penjatuhan denda administratif hingga dua persen dari pendapatan tahunan pengendali data. Angka ini bisa berarti nilai yang sangat besar bagi perusahaan berskala nasional, sehingga kepatuhan menjadi persoalan strategis, bukan sekadar formalitas.

Konsekuensi sebesar itu seharusnya mendorong perusahaan untuk segera membenahi tata kelola data mereka, mulai dari cara pengumpulan, penyimpanan, hingga pemusnahan data pelanggan. Menunggu sampai lembaga pengawas terbentuk justru berisiko, karena kewajiban hukumnya sudah berlaku penuh sejak sekarang, terlepas dari status kelembagaan pengawasnya.

Ujian bagi ekonomi digital Indonesia

Pada akhirnya, paradoks ini menjadi ujian penting bagi kredibilitas ekonomi digital Indonesia. Di satu sisi negara gencar menarik investasi pusat data dan teknologi kecerdasan buatan, di sisi lain fondasi kepercayaan publik terhadap keamanan data mereka masih menunggu kelengkapan kelembagaan yang seharusnya menjadi penjamin utama.

Kepercayaan adalah mata uang paling berharga dalam ekonomi digital. Jika Indonesia ingin benar-benar menjadi pusat teknologi regional, maka menyelesaikan pembentukan Lembaga PDP dan memperkuat penegakan perlindungan data bukanlah pilihan, melainkan keharusan yang menentukan apakah warga dan investor sama-sama merasa aman di ruang digital.